PS-00129-2015

1/34 Procedimiento Nº PS/00129/2015 RESOLUCIÓN: R/02171/2015 En el procedimiento sancionador PS/00129/2015, instruido por la Agencia Española de Protección de Datos a la entidad MANCLIC MARKETING, S.L., vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16 de octubre de 2014 tiene entrada en esta Agencia un escrito de Don A.A.A., (en adelante el denunciante), en el que declara: - Que la empresa MANCLIC MARKETING S.L., (en lo sucesivo MANCLIC) comercializa bases de datos con correos electrónicos. - Que dicha empresa ha realizado un SPAM desde de la dirección de correo electrónico ....@informadirect.com ofreciendo la citada base de datos a las direcciones de correo electrónico incluidas en la misma. El denunciante aporta la cabecera de un correo electrónico remitido desde la dirección ....@informadirect.com a la dirección ....@sermesa.es, con fecha 16 de octubre de 2014 y copia del contenido en el que se promociona la “Base de Datos Empresas 2014” que “permiten satisfacer cualquier tipo de campaña comercial”. En la publicidad hay una leyenda informativa con el texto “Le informamos que los datos utilizados en esta promoción han sido obtenidos de fuentes accesibles al público y/o a través de nuestra relación comercial. Así mismo le informamos que si no desea seguir recibiendo comunicaciones puede hacer un click aquí y procederemos a la atención inmediata de su solicitud.” El denunciante manifiesta que el correo remitente pertenece a MANCLIC. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia tienen conocimiento, con fecha 23 de febrero de 2015, de los siguientes extremos a través de la información facilitada por MANCLIC MARKETING S.L.: 1. Aporta un CD que contiene, en formato EXCEL, la base de datos comercializada por la empresa, en la que se comprueba que: a. Contiene 421.269 registros. b. Los datos corresponden a empresas, figurando nombres y apellidos de personas físicas asociados a actividades como “Abogados” o “Academias”. c. Los datos que contiene de cada empresa son: denominación, actividad, dirección, y en muchos casos: teléfono y fax, dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/34 electrónico y web. d. Con fecha 4 de marzo de 2015 se realiza, a título de ejemplo, un muestreo de 48 registros contenidos en la base de datos comercializada por MANCLIC, que incluye, distribuido en tres columnas, los datos identificativos, teléfonos y direcciones de correo electrónico de las empresas, comerciantes y profesionales, entre los que constan nombres y apellidos de personas físicas identificadas o identificables, cuyo resultado obra en el Antecedente de Hecho Tercero de esta resolución. e. Se verifica que la dirección de correo electrónico ....@sermesa.es consta en la base de datos asociada a la empresa SERVICIOS MEDICINA PREVENTIVA S.A. y que además figuran de esta empresa la dirección, la actividad y la página web www.sermesa.es. 2. La base de datos ha sido elaborada por MANCLIC y los datos tales como correo electrónico, localización etc.. son accesibles a través de internet ya que están publicados en las páginas web de las empresas y en las páginas amarillas. 3. La última actualización de la base de datos se ha realizado en marzo de 2014. 4. Respecto a la información que facilitan a las personas que adquieren la base de datos, transcriben dicha información, en la que consta: “La información obtenida por la empresa se encuentra archivada en un fichero registrado en el Registro General de Protección de Datos y que la finalidad de la recogida y tratamiento de datos es: REALIZAR ACCIONES COMERCIALES CON LOS CONSUMIDORES FINALES, PUBLICIDAD DE LA ENTIDAD Y ATENDER CONSULTAS Y PETICIONES DE LOS USUARIOS. 5. Respecto al origen del dato de la dirección de correo electrónico ....@sermesa.es, manifiestan que ha sido obtenida en la página web de SERMESA en la dirección www.donde-estamos.com............ TERCERO: Con fecha 4 de marzo de 2015 se obtiene una muestra de 48 registros de la base de datos aportada por MANCLIC, que contiene la siguiente información en los campos de nombre empresa, teléfono y email : [***NOMBRE.1] [***TEL.1] [***EMAIL.1] CUARTO: Con fecha 27 de marzo de 2015, se acordó iniciar, procedimiento sancionador a MANCLIC MARKETING, S.L. por la presunta comisión de las siguientes infracciones: - Infracción al artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. - C/ Jorge Juan, 6 28001 – Madrid Infracción al artículo 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, (en www.agpd.es sedeagpd.gob.es 3/34 lo sucesivo LSSI), tipificada como leve en el artículo 38.4.
2. d)de la citada Ley, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.
3. c)de la Ley 34/2002. QUINTO: Notificado el acuerdo de inicio, el representante legal de MANCLIC mediante escrito registrado con fecha 24 de abril de 2015 formuló alegaciones, solicitando el archivo de las actuaciones con fundamento, en síntesis, en los siguientes argumentos: - En el presenta caso , conforme a lo previsto en el artículo 6.2 de la LOPD, no era necesario el consentimiento previo e inequívoco del afectado para el tratamiento de sus datos, ya que los datos fueron obtenidos de una fuente accesible al público en el sentido del artículo 3.j de la LOPD, como es la dirección web http://www.dondeestamos.com...........— sa-sermesa-577602# .VTbakiHtmko, resultando también accesibles a través de la dirección web de la empresa http://www.sermesa.es/...........s y en las páginas amarillas, incluso en su versión web. Tampoco resultaba preciso informar al afectado en el momento en que se recabaron los datos de la procedencia de los mismos, por proceder de “fuentes accesibles al público” y estar destinados a “la actividad de publicidad o prospección comercial” (art. 5.5 párr. 2° LOPD). Añade que procediendo de fuentes accesibles al público y no habiéndose recibido por MANCLIC ninguna negativa u oposición del interesado a que sus datos fueran tratados por esa empresa, el artículo 21.1 de la LSSI no resulta de aplicación al caso que nos ocupa., conforme lo previsto en el artículo 45.1.
4. a)del Real Decreto 1720/2007. - Resaltan que si SERMESA ha publicitado sus datos de contacto tanto en webs de terceros como en su propia página web con la evidente finalidad, ya que no cabe otra interpretación lógica, de hacerlos localizables y accesibles a todo el público para recibir comunicaciones, no puede pretender ahora ampararse en las garantías del artículo 6.1 LOPD y/o 21 de la LSSI para impedir que dichos datos de contacto no se utilicen con dicha finalidad SEXTO: Con fecha 28 de abril de 2015 se inicia período de práctica de pruebas, acordándose por la Instructora practicar las siguientes pruebas: 1. Dar por reproducidas a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante MANCLIC, el Informe de actuaciones previas de Inspección que forman parte del expediente E/00268/2015, las alegaciones al acuerdo de inicio PS/00129/2015 presentadas por MANCLIC y la documentación que a ellas acompaña y la impresión de la siguiente información obtenida a través de Internet en la página web http://www.listadoempresas.com: - Información que se ofrece sobre las bases de datos que se comercializan, incluyendo impresión de la descarga de la muestra gratuita. - Documentos legales de la página web. 2. Solicitar a MANCLIC la remisión de la siguiente información y documentación: - Acreditación del origen de cada uno de los datos personales incluidos en el Anexo 1 del Acuerdo de Inicio del PS/129/2015, (datos identificativos de los profesionales o personas de contacto, teléfono y correo electrónico), con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/34 presentación de la documentación o medios de prueba válidos en derecho que acrediten los extremos informados, particularmente su procedencia de fuentes accesibles al público. - - Justificación de que los profesionales que puedan estar incluidos tienen la condición de empresarios individuales o que se trata de datos identificativos profesionales de contacto. Especificación, en su caso, de la persona jurídica para la que prestan servicios las personas físicas incluidas en la muestra. - Acreditación de la obtención por parte de MANCLIC del consentimiento inequívoco de las personas físicas que aparecen en el Anexo 1 del acuerdo de inicio para la inclusión de sus datos personales (nombre y apellidos, teléfonos de contacto y dirección de correo electrónico) en una base de datos cuya finalidad es el tratamiento de los mismos para su comercialización con fines de marketing. Con fecha 25 de mayo de 2015 se notifican a MANCLIC las pruebas cuya práctica se le requería. SÉPTIMO: Con fechas 12 y 26 de junio de 2015 se registra de entrada escrito de MANCLIC comunicando los criterios seguidos respecto de la utilización de los datos personales facilitados por los usuarios al acceder a su página web corporativa, y que, en lo que respecta a los hechos objeto de infracción, se resumen en los siguientes: La entidad ha adoptado tanto las medidas y niveles de seguridad exigidas en la LOPD, instalando todas las medidas técnicas para garantizar la confidencialidad y seguridad de los datos: Igualmente ha adoptado las medidas requeridas por la LSSI; La información obtenida por MANCLIC está archivada en un fichero automatizado registrado en el Registro General de la AEPD. La finalidad de la recogida y tratamiento de datos a través de su página web se limita a realizar acciones comerciales con los consumidores finales, publicidad dela entidad y atender las consultas y peticiones de los usuarios, sin que los datos personales recabados sean cedidos a terceros . La cumplimentación de formularios o el envío de correos electrónicos y otras comunicaciones a MANCLIC implica el consentimiento expreso del usuario al tratamiento de sus datos de carácter personal por parte de la misma; Cualquier usuario puede ejercitar sus derechos ARCO, con arreglo a lo previsto en la LOPD. Adjunta impresión de los documentos de “Política de Privacidad” y “Aviso Legal” de “ListadosEmpresas.com”, impresión de la información que aparece al descargar la muestra gratuita incluida en el sitio web www.listadoempressas.com y un listado con 45 direcciones de páginas web en cuyas URLs aparecen nombres y apellidos contenidos en los registros de la muestra obtenida el 4 de marzo de 2015. OCTAVO: Con fechas 29 y 30 de julio de 2015 se incorpora al procedimiento impresión de la siguiente información procedente de Internet: Resultado de los accesos efectuados a través de Internet a diversas de las páginas web que aparecen detalladas en los escritos de MANCLIC MARKETING S.L registrados con fechas 12 y 26 de junio de 2015; Resultado de las consultas efectuadas a través del Buscador de empresas del sitio web www.axesor.es en relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/34 con la información que aparece de B.B.B., C.C.C., D.D.D. y E.E.E.; Información contenida en el sitio web www.axesor.es relativa a “axesor- qué hacemos” y, documento de política de privacidad contenido en el mismo; Documentos de “Condiciones de Uso” y “Condiciones Generales” contenidos en el sitio web www.einforma.com; impresión del resumen del fichero de “Clientes y/o Proveedores” inscrito por MANCLIC MARKETING, S.L. en el Registro de Ficheros de la Agencia Española de Protección de Datos.; Impresión de la información que aparece en las diversas páginas que integran el sitio web www.listadosempresas.com, documentos de “Política de Privacidad” y “Aviso Legal” del mismo; Contenido de la descarga de la muestra gratuita de la base de datos de empresas de España; Impresión página principal sitio www.donde-estamos.com, que ofrece un Directorio de empresas por Polígonos Industriales, y de la página en la que se promocionan las ventajas del registro en la base de datos y Aviso Legal del sitio mismo NOVENO: Con fecha 7 de agosto de 2015 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionase a MANCLIC MARKETING, S.L. con las siguientes multas: - Multa de 50.000 € (Cincuenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
5. b)de dicha norma. - Multa de Mil euros (Mil euros) por la infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
6. d)de dicha norma. DÉCIMO: Con fecha 25 de agosto de 2015 se registra de entrada escrito de alegaciones formulado por el representante de MANCLIC en el que, en síntesis, solicita el archivo del procedimiento por los siguientes motivos: - No resulta de aplicación la LOPD al tratarse de una base de datos referida única y exclusivamente a datos profesionales, vinculándose cada registro al ejercicio de una actividad profesional o empresarial. - C/ Jorge Juan, 6 28001 – Madrid Los datos de los 48 registros del muestreo realizado el 4 de marzo de 2015. proceden de fuentes de acceso público conforme ya se demostró a través del listado de sitios web aportado en fase de pruebas y se confirma mediante el nuevo listado de sitios web que se adjunta a las alegaciones a la propuesta Si se realiza una búsqueda pormenorizada de los distintos registros se comprueba que:
7. a)son sitios web que alojan información profesional, pudiendo obtenerse la misma de varios sitios web;
8. b)son datos de carácter personal referidos a la esfera estrictamente profesional de los afectados;
9. c)Excepto el registro de F.F.F. , los registros se constituyen por profesionales, es decir, empresarios individuales que ejercen una actividad empresarial, anunciándose así en las fuentes de acceso público;
10. d)todos los datos del muestreo, excepto uno, se han obtenido de diversas fuentes de acceso público con fines de comercialización publicitaria, tales como buscadores de empresas y profesionales, sitios web de prospección comercial, listados de números telefónicos, listados de Colegios Profesionales, por lo que como el fichero creado tiene como finalidad la prospección comercial no es necesario obtener el consentimiento de los afectados para su inclusión en este tipo de bases de datos. En apoyo de todo lo cual se cita el Informe 0258/2008 del Gabinete Jurídico de la AEPD y la Sentencia de la Audiencia Nacional de fecha 27 de abril de 2005. www.agpd.es sedeagpd.gob.es 6/34 - Subsidiariamente, se solicita la minoración de la sanción económica propuesta por entender que su imposición vulneraría el principio de proporcionalidad al no ajustarse al daño causado y al hecho que lo causó, teniendo en cuenta que la información tratada no se refiere a datos especialmente protegidos, no se han producido perjuicios ni obtenido beneficios y no ha existido intencionalidad al haber actuado en la creencia de que se estaban utilizando datos de carácter estrictamente profesional provenientes de fuentes de acceso público, añadiendo que su imposición llevaría al cierre de la empresa en función del volumen de negocio de la misma que no ha sido tenido en cuenta. UNDÉCIMO: Con fecha 26 de agosto de 2015 se incorpora al procedimiento la siguiente documentación: - Informe 0258/2008 del Gabinete Jurídico de la AEPD - Impresión del resultado de la información obtenida al acceder a los sitios web y/o páginas web www.conabogados.es, http://abogada-........., http://www.icaba.es, www.despachosdeagobados.org, www.donde-estamos.com, legalguia.com, www.paginasamarillas.es, www.infobel.com, www.citiservi.es, http://abogado-s.es HECHOS PROBADOS PRIMERO: Con fecha de 16 de octubre de 2014 tiene entrada en esta Agencia un escrito del denunciante poniendo de manifiesto que la entidad MANCLIC vende bases de datos con correos electrónicos, utilizando dicha información para promocionar dicho producto. (folios 1 al 5 bis 17) SEGUNDO: Consta que con fecha 16 de octubre de 2014 se remitió una comunicación comercial desde la cuenta de correo electrónico ....@informadirect.com a la dirección ....@sermesa.es, en la que se ofertan, entre otras, la “Base de Datos Empresas 2014” de la que se publicitan las siguientes características: (folios 1 al 5) “Lanzamos la nueva base de datos de empresas y profesionales de España 2014 con 400.000 registros por 325 € todos con email verificado y testado. Listados de empresas segmentaos por Comunidades, Provincias y Actividades con información completa de las empresas. (…) Estos listados de bases de datos de empresas permiten satisfacer cualquier tipo de campaña comercial: Telemarketing, Marketing por fax, Campañas de SMS marketing. Campañas de e-mail marketing sin límite de uso” TERCERO: La mencionada comunicación comercial contiene un enlace de baja con el siguiente texto: “Le informamos que los datos utilizados en esta promoción han sido obtenidos de fuentes accesibles al público y/o a través de nuestra relación comercial. Así mismo le informamos que si no desea seguir recibiendo comunicaciones puede hacer un click aquí y procederemos a la atención inmediata de su solicitud.” (folio 4) CUARTO: MANCLIC ha señalado que obtuvo el correo electrónico ....@sermesa.es de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/34 la página web http://www.donde-estamos.com...........—. (folios 14 y 104) En el sitio web www.donde-estamos.com se ofrece un servicio consistente en un directorio de empresas gratuito, orientado a las empresas ubicadas en cualquier Parque Empresarial y Polígono Industrial de España. (folio 264) QUINTO: En los accesos efectuados con fechas 18 de marzo, 28 de abril y 30 de julio de 2015 se constata que en el sitio web www.listadosempresas.com se comercializan diferentes “bases de datos de empresas”, entre la que se encuentra la “base de datos de empresas de España”, que contiene, según aparece en la publicidad del portal, más de 440.000 registros correspondientes a PYMES, autónomos y profesionales, incluyendo dirección de email para poder realizar campañas de email marketing. (folios 21 al 41, 77 al 91, 247 al 252 ) En dicha página web se publicita que las bases de datos de empresas permiten encontrar nuevas oportunidades de negocio, localizar contactos para sus productos o servicios, conseguir más clientes e incrementar sus beneficios y contactar con otras compañías para relaciones B2B. (folios 21, 79 y249) En el apartado de “Información Legal” de las bases de datos ofertadas se indica que: “La información sobre las empresas que figuran en nuestros listados de empresas es relativa a sociedades mercantiles y empresarios individuales en su faceta comercial, no son de carácter confidencial y han sido captadas de fuentes de acceso público, publicado en papel, vía internet, directorios de empresas, catálogos impresos, etc. O facilitados por las mismas empresas. Por lo cual estos datos no atentan contra el honor e intimidad personal quedando fuera del ámbito legislativo en materia de Protección de datos, de acuerdo con el artículo 2 del Reglamento de desarrollo de la Ley 15/1999, de 13 de diciembre.” (folios 21, 79, 249) También aparece que todos los listados de la base de datos de empresas tienen la misma estructura de campos de información. Nombre Empresa, Actividad, Dirección, Código Postal, Localidad, Provincia, Comunidad, Teléfono, Fax, Email, Web. (folios 22, 80, 250) SEXTO: En los accesos efectuados con fechas 18 de marzo, 28 de abril y 30 de julio de 2015 también se verifica que en la información ofrecida sobre “Base de datos Empresas” se señala: (folios 19,77 , 247 y 248) “Estos listados de base de datos empresas permiten satisfacer cualquier tipo de campaña comercial. Puede utilizarlos para acciones comerciales telefónicas, por fax, por correo postal y por supuesto para campañas de marketing por email, sin límite de uso todas las veces que desee. (…) Consulte nuestros precios y descubra por qué nuestros listados de base de datos empresas son la mejor elección para sus campañas comerciales.” SÉPTIMO: Con fecha 23 de febrero de 2015 MANCLIC aporta un disco compacto conteniendo copia del fichero de la base de datos de empresas de España comercializada por dicha entidad en el sitio web www.listadosempresas.com, comprobándose que contiene un total de 421.269 registros. (folios 12 y 15) OCTAVO: En la información contenida en la muestra obtenida el día 4 de marzo de 2015 del citado CD, relativa básicamente a información referente a la actividad de Abogados, y en los ficheros descargados del propio sitio web con fechas 18 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/34 marzo, 28 de abril y 30 de julio de 2015, se constata que en el Listado de empresas de España aparece información de personas jurídicas, empresarios individuales y datos de personas físicas. (folios 15 al 17, 48 al 51, 95 al 100, 261 al 263) NOVENO: En 33 de los 48 registros de la muestra obtenida con fecha 4 de marzo de 2015 de la base de datos aportada por MANCLIC, se comprueba que figuran incluidos los siguientes datos de carácter personal de personas físicas asociados a los campos de la denominación de la empresa, teléfono y email: (folios 15 al 17) [***NOMBRE.2] [***TEL.2] [***EMAIL.2] DÉCIMO: En el fichero descargado con fecha 28 de abril de 2015 del sitio web www.listadosempresas.com aparecen los siguientes datos personales en los campos de nombre de empresa, teléfono y email de dos de los registros pertenecientes a la actividad de “Abogados” contenidos en el mismo : (folios 95 al 99) [***NOMBRE.3] [***TEL.3] [***EMAIL.3] DÉCIMOPRIMERO: En la muestra obtenida con fecha 4 de marzo de 2015 del listado presentado por MANCLIC y en el fichero descargado con fecha 28 de abril de 2015 del sitio web www.listadosempresas.com aparecen los siguientes datos personales de contacto profesional de personas físicas asociados a las mercantiles que a continuación se indican: (folios 15 al 17 y 95 al 99) G.G.G. * ***TEL.4 .........@wanadoo.es XXXXX, S.L. , (C/.........1), Murcia, ***TEL.5, ***TEL.6, ........@hotmail.com Bodegas Vinícolas) (Actividad: *En la información que aparece en la web http://guiasgtp.com indicada por MANCLIC, Don G.G.G. figura como Administrador único la mercantil G.G.G., S.L., perteneciente al sector de aceites y grasas, mostrándose el mismo número de teléfono y cuenta de correo electrónico que los obrantes en la muestra (folios 17, 60 y 194) DECIMOSEGUNDO: En el muestreo de comprobación efectuado con fecha 29 de julio de 2015 en algunas de las páginas web facilitadas por MANCLIC como origen de la información contenida en los registros que aparecen en el Hecho Probado 9) se constata que: En la página web http://www.paginasamarillas.es no figura la dirección del correo electrónico de F.F.F. junto al número de línea ***TEL.1. (folio 192) En las búsquedas realizadas en la página web http://www.dondeestamos.com los datos relativos al número de teléfono y el correo electrónico aparecen incompletos (folios 163, 170, 190, 195) En las búsquedas efectuadas en la página web http://www.infobel.com no aparece la dirección de correo electrónico del abonado (folios 167, 168,169, 171, 172, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/34 177 al 179, 187,191) En la búsqueda efectuada en la página web http://www.gallego...... aunque aparece la cuenta de correo electrónico de H.H.H. no figura el número de teléfono contenido en el fichero. (folio 193) En otras páginas web de internet coincide la información del nombre y apellidos de los afectados con el email y número de teléfono asociados a los mismos en el fichero, como por ejemplo las correspondientes a las direcciones web http://www.abogado.....1, http://www.abogado-s.es, http://www .bolsamania.com, http://www.es.negotiums.com (folios 175, 176, 180, 182 , 184, 185, 186, 188 ). DECIMOTERCERO: En el muestreo de comprobación efectuado con fecha 29 de julio de 2015 a través del buscador del sitio web www.axesor.es se constata lo siguiente respecto de la información correspondiente a cuatro de los registros que aparecen en el Hecho Probado nº 9 : El nombre y apellidos de B.B.B. y D.D.D. se vinculan a información publicada en el Registro Mercantil en tanto que cargos o dirigentes de alguna sociedad, pero sin proporcionar otra información distinta a dichos datos, debiendo abonarse determinada cantidad en caso de solicitar informe de la trayectoria profesional del cargo consultado. (folios 196 al 201, 217 al 220) No se localiza información de C.C.C. ni de E.E.E. (folios 202 al 227) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
11. g)en relación con el artículo 36 de la LOPD y en virtud de lo dispuesto en el párrafo segundo del artículo 43.1 de la LSSI. II El artículo 43.1 de la vigente LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros o los encargados de los tratamientos, concepto que debe integrarse con la definición que de los mismos realiza el artículo 3.
12. d)de la LOPD al entender como: “Responsable del fichero o tratamiento” a “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”, por lo que ambas figuras están sujetas al régimen sancionador de la LOPD. Por su parte, el artículo 5.1.
13. q)del RDLOPD considera como tal a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/34 A su vez, los apartados b), c), y
14. e)del mencionado artículo 3 de la LOPD definen los siguientes conceptos: ”
15. b)“Fichero:” Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” “
16. c)Tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”, “
17. e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
18. c)del presente artículo.” De acuerdo con los preceptos de la normativa de protección de datos transcritos, MANCLIC resulta responsable de la creación y mantenimiento del fichero de empresas españolas y del tratamiento efectuado con la información de carácter personal incorporada y mantenida en el mismo, habida cuenta que ha dispuesto la inclusión y uso publicitario en el mismo, entre otra información, de datos personales correspondientes a personas físicas que desarrollan profesiones liberales, tales como los nombres y apellidos, teléfono y correo electrónico de profesionales del sector de la Abogacía (Hechos Probados 9 y 10 ) y de datos personales de contacto profesional (dirección postal, teléfono , correo electrónico y Fax) correspondientes a personas físicas que prestan sus servicios a personas jurídicas ( Hecho Probado 11). Por lo cual el tratamiento de los datos personales incluidos en los 37 registros detallados en los mencionados Hechos Probados, recae bajo la responsabilidad de MANCLIC, entidad que en su condición de responsable del mencionado fichero ha decidido sobre la finalidad, contenido y uso publicitario de los datos de carácter personal incorporados al mismo, motivo por el cual ostenta una posición jurídica susceptible de generar responsabilidades administrativas derivadas del incumplimiento de la LOPD . III El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. El concepto de dato de carácter personal aparece definido en el artículo 3.
19. a)de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/34 la LOPD, como: “Cualquier información concerniente a personas físicas identificadas o identificables”, señalándose en el artículo 5.1.
20. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en adelante RDLOPD como datos de carácter personal: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En el apartado 5.1.
21. o)del mismo Reglamento se define persona identificable, como “toda persona cuya identidad pueda determinase, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados” A la vista de dichos preceptos, los datos de los profesionales del sector de la abogacía estudiados son datos personales relativos a personas físicas vinculados al ejercicio de la profesión de los mismos, puesto que incluyen sus nombres y apellidos, información personal que asociada, conjunta o separadamente, a otros datos personales de los mismos, como los referidos a sus líneas de teléfono y correos electrónicos profesionales, permiten una identificación absoluta de los sujetos titulares de dichos datos personales. También son datos personales los recogidos en Hecho Probado nº 11, ya que se trata de direcciones de correo electrónico, líneas de teléfono y, en su caso, dirección postal y número de Fax de contacto profesionales predicables de las personas físicas, identificadas o identificables, que prestan sus servicios profesionales en las dos mercantiles detalladas. Destacándose en la página web desde la que MANCLIC promociona la venta del listado de empresas españolas que todos los registros contienen la “dirección email para poder realizar campañas de e mail marketing” (folio 81), y comprobado que el correo electrónico profesional de las personas físicas afectadas aparece en todos los registros analizados, conviene traer a colación la Sentencia de la Audiencia Nacional de fecha 15 de enero de 2015, Rec. 297/2010, en la que en relación con el tratamiento inconsentido de la dirección de correo profesional de una persona física se afirmaba: “En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque "con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. (…) Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD. (…) Esta Sala ha reiterado que el dato del afectado, aunque se refiera al lugar de ejercicio de su profesión, es un dato de una persona física con una actividad profesional, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/34 cuya protección cae en la órbita de la citada Ley Orgánica 15/1999, SAN, Sec. 1ª de 3 de octubre de 2007 (Rec. 163/2006). ” Sentado lo anterior, los hechos objeto del procedimiento suponen un tratamiento de datos personales concernientes a personas físicas identificadas o identificables sin esfuerzos desproporcionados, y del que MANCLIC es responsable por los motivos ya aducidos. IV Justificado que los datos objeto de análisis incluidos por MANCLIC en el citado listado de empresas de su propiedad son datos de carácter personal, resulta necesario determinar si el tratamiento efectuado por la reseñada entidad con los datos personales objeto de estudio, detallados en los Hechos Probados 9 al 11 de esta resolución, caen bajo la órbita del ámbito de aplicación de la normativa de protección de datos. De los artículos 1 y 2.1 de la LOPD transcritos en el anterior Fundamento de Derecho se deduce claramente que el ámbito de aplicación de la LOPD no ampara a las personas jurídicas, que no gozarán de ninguna de las garantías establecidas en dicha Ley, y que tan sólo resulta aplicable al tratamiento de datos de carácter personal relacionados con personas físicas. A este respecto, el artículo 2 del Real decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, (en adelante RDLOPD), establecen respecto del “Ámbito objetivo de aplicación” de dicho Reglamento, lo siguiente: “1. El presente Reglamento será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. 2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. 3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal. “ De este modo, quedarán excluidos de las garantías de la LOPD los datos que se refieran a personas jurídicas en todos los casos, así como los relativos a los profesionales (en aquellos casos en los que organicen su actividad bajo la forma de empresa, ostentando, en consecuencia, la condición de comerciante a la que se refieren los artículos primero y siguientes del Código de Comercio) y a los empresarios individuales siempre que su actividad comercial o profesional pueda diferenciarse de manera clara y determinante, en cada caso, de su propio entorno de privacidad como persona física. En sentido contrario, tanto los profesionales como los comerciantes individuales quedarán bajo el ámbito de aplicación de la LOPD y, por tanto, amparados por ella, cuando los primeros no tuvieran organizada su actividad profesional bajo la forma de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/34 empresa, no ostentando, en consecuencia, la condición de comerciante (es el caso de los profesionales liberales), y los segundos cuando no fuera posible diferenciar en cada caso, clara y terminantemente, su actividad mercantil del propio entorno de su privacidad como persona física. En estos dos casos deberán aplicarse siempre las garantías y principios reconocidos en la LOPD dada la naturaleza fundamental del derecho a proteger. V Para determinar si los datos personales de las personas físicas que ostentan la condición de profesionales que aparecen detallados en los mencionados Hechos Probados 9 y 10 se encuentran bajo el amparo de la LOPD, resulta ilustrativa la Sentencia de la Audiencia Nacional de fecha14 de febrero de 2007, Rec. nº 186/2005, en la que se señalaba: “Siguiendo en esta línea de argumentación, si los datos personales únicamente son predicables de las personas físicas, como dispone la propia LO 15/1999 y se infiere de la doctrina constitucional, debemos ahora determinar si cuando una persona física ostenta también la condición de profesional, en el caso examinado es abogado, esta circunstancia le priva de la protección que regula la LOP de tanta cita. Si cualquier persona física tiene derecho a la protección de los datos “personales”, no parece que puedan ser excluidos de tal protección los datos “personales” de todas aquellas personas físicas que, obviamente conservando tal condición, también tengan la condición de profesionales, pues la adicción de esta circunstancia no les priva de sus derechos como ciudadano, salvo que estos profesionales organicen su actividad bajo fórmulas mercantiles y que se acredite que los datos eran ajenos a su esfera privada y ostentaban una clara vinculación con la actividad mercantil. Requisitos que no concurren en el caso examinado, en el que el contenido del envío publicitario remitido no puede servir de excusa para entender que se envía al ciudadano profesional y no al ciudadano persona física. En este sentido se ha pronunciado esta Sala y Sección en Sentencia 31 de enero de 2003 (recurso nº 564/2001) y de 11 de febrero de 2004(recurso nº 119/2002), señalando que <<la Ley Orgánica 15/1999 tiene por objeto garantizar y proteger, por lo que ahora interesa, los datos personales, entendiéndose por tales, ex artículo 3.
22. a)de la citada Ley, “cualquier información concerniente a personas físicas identificadas o identificables”, debe concluirse que en el caso examinado el dato del afectado, aunque se refiere al lugar de ejercicio de su profesión, es un dato de una persona física con una actividad profesional, cuya protección cae en la órbita de la <Ley Orgánica 15/1999 de tanta cita, como viene declarando esta Sala reiteradamente, por todas , Sentencia de 21 de noviembre de 2002. En efecto, los datos personales son predicables de todos los ciudadanos, sin que pueda excluirse de dicha previsión los relativos a aquellos que realizan una actividad profesional, pues el ejercicio de esta actividad no puede ser equiparado a estos efectos a la de una empresa como parece mantener la parte recurrente>>. “ También a los efectos de dilucidar el alcance de la posible exclusión de los datos referidos a personas físicas con una actividad profesional se reproduce parcialmente la SAN de 12-05-2011, en la que se indicaba que:“No puede concluirse, por tanto que los empresarios individuales y profesionales estén en su conjunto excluidos del ámbito de protección de la LOPD, sino que se hace necesario diferenciar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/34 (y la línea divisoria es confusa y difusa) cuando un dato del empresario o profesional, se refiere a la vida privada de la persona y cuando a la empresa o profesión, pues solo en el primer caso cabe aplicar la protección de la LO 15/1999. Labor de diferenciación que puede basarse en dos criterios distintos y complementarios. Uno: el criterio objetivo de la clase y la naturaleza de los datos tratados, según estén en conexión y se refieran a una esfera (la íntima y personal) o a otra (la profesional) de la actividad. Otro: el de la finalidad del tratamiento y circunstancias en que éste se desarrolla, criterio éste que operaría en aquellos casos en que alguno de los datos profesionales coincida con los particulares (por ej. coincidencia de domicilio privado con el de la empresa, o cuando no se pueda acreditar si una deuda es de la empresa o si es personal del interesado.” Pues bien, conforme a la doctrina expuesta, resulta que MANCLIC no ha acreditado mediante ningún medio de prueba que los profesionales de la abogacía titulares de los datos personales detallados en los 35 registros objeto de estudio hayan organizado su actividad profesional bajo la forma de empresa, no ostentando, por tanto, la condición de empresarios individuales (comerciantes, industriales o navieros) que les hubiera situado al margen del régimen de aplicación de protección de dicha norma conforme a lo previsto en el artículo 2.3 del RDLOPD. En consecuencia, no puede aceptarse como defiende MANCLIC en su escrito de alegaciones a la propuesta de resolución que los datos personales de dichos profesionales constituyan datos relativos a empresarios individuales, no habiéndose justificado tampoco por esa empresa que éstos se anuncien como empresarios individuales en los sitios web que aparecen detallados en los listados aportados. No hay que olvidar que se ha limitado a aportar unos listados que relacionan una serie de URLs sin incorporar impresión del contenido de la información y datos personales exactos asociados a cada una de las páginas web cuyas direcciones se incluyen en los listados aportados, ello a pesar de que la carga de acreditar la veracidad de sus manifestaciones le incumbe a esa sociedad. Además, sucede que el tratamiento efectuado por el responsable del fichero con los datos personales de los profesionales afectados supera el marco de la actividad profesional desarrollada por los mismos (en su mayoría abogados), trascendiendo a su esfera personal y privada en tanto que posibles consumidores individuales finales de cualquier producto o servicio cuya publicidad puedan recibir a través de comunicaciones comerciales enviadas a sus correos electrónicos o llamadas publicitarias a sus líneas de teléfono. Precisamente, estos datos personales se han recopilado e incorporado por MANCLIC al citado fichero para ser comercializados con finalidades publicitarias y de prospección comercial sin fijar, tal y como se observa en la información promocional de la base de datos que aparece en el sitio web www.listadosempresas.com, ningún tipo de límite a los compradores relativo al uso de dichos datos personales en las campañas publicitarias a realizar. Por lo cual, el tratamiento realizado por MANCLIC no diferencia la esfera profesional de la esfera privada o personal de estos profesionales, siendo el sujeto del tratamiento la persona física como tal y no el profesional. No cabe duda que esta misma idea trasciende en la Sentencia de la Audiencia Nacional de fecha 27 de abril de 2005 invocada por MANCLIC, en la que después de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/34 puntualizar “que es preciso diferenciar los datos que se refieran a su vida privada o personal de la empresa o profesional, pues solo en el primer caso cabe aplicar la protección de la LO 5/1992” , se continúa indicando que “ una vez efectuada la anterior precisión hay que señalar que el tratamiento de datos efectuado por “Entidad A” respecto del denunciante Sr. JRA está incluido en el ámbito de aplicación de la Ley de Protección de Datos, toda vez que dicho tratamiento no se vincula a una actividad empresarial específica de dicho afectado sino al propio interés comercial y económico de la demandante por cuanto trata indiferenciadamente datos que puedan afectar a la esfera personal o a la empresarial del interesado sin discriminar unos de otros y sin que ello tenga relevancia alguna para el responsable del fichero.”. VI A su vez, para dilucidar si el tratamiento realizado por MANCLIC con los datos personales de contacto de las personas físicas que prestan servicios en las sociedades mercantiles señaladas en el Hecho Probado nº 11 se encuentra bajo la órbita de protección de la LOPD o, por el contrario, está excluido del mismo en virtud de la excepción contemplada en el artículo 2.2 del RDLOPD, resulta conveniente hacer mención al informe elaborado por el Gabinete Jurídico de la Agencia con fecha 18 de febrero de 2008 en el que se alcanza la conclusión de que su aplicación tendrá lugar siempre y cuando se cumplan dos requisitos, a los que se refiere en los siguientes términos: “ (…) En consecuencia, la Agencia ha venido señalando que en los supuestos en que el tratamiento del dato de la persona de contacto es meramente accidental en relación con la finalidad del tratamiento, referida realmente a las personas jurídicas en las que el sujeto presta sus servicios, no resulta de aplicación lo dispuesto en la Ley Orgánica 15/1999, viniendo el Reglamento a plasmar este principio. No obstante, nuevamente, es necesario que el tratamiento del dato de la persona de contacto sea accesorio en relación con la finalidad perseguida. Ello se materializará mediante el cumplimiento de dos requisitos: El primero, que aparece expresamente recogido en el Reglamento será el de que los datos tratados se limiten efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios. Por este motivo, el Reglamento impone que el tratamiento se limite a los datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales. De este modo, cualquier tratamiento que contenga datos adicionales a los citados se encontrará plenamente sometido a la Ley Orgánica 15/1999, por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica. Por ello, no se encontrarían excluidos de la Ley los ficheros en los que, por ejemplo, se incluyera el dato del documento nacional de identidad del sujeto, al no ser el mismo necesario para el mantenimiento del contacto empresarial. Igualmente, y por razones obvias, nunca podrá considerarse que se encuentran excluidos de la Ley Orgánica los ficheros del empresario respecto de su propio personal, en que la finalidad no será el mero contacto, sino el ejercicio de las potestades de organización y dirección que a aquél atribuyen las leyes. El segundo de los límites se encuentra, como en el supuesto contemplado en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/34 artículo 2.3, en la finalidad que justifica el tratamiento. Como se ha venido indicando reiteradamente, la inclusión de los datos de la persona de contacto debe ser meramente accidental o incidental respecto de la verdadera finalidad perseguida por el tratamiento, que ha de residenciarse no en el sujeto, sino en la entidad en la que el mismo desarrolla su actividad o a la que aquél representa en sus relaciones con quienes tratan los datos. De este modo, la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para lograr esa finalidad. Así sucedería en caso de que el tratamiento responda a relaciones "business to business", de modo que las comunicaciones dirigidas a la empresa, simplemente, incorporen el nombre de la persona como medio de representar gráficamente el destinatario de la misma. Por el contrario, si la relación fuera "business to consumer", siendo relevante el sujeto cuyo dato ha sido tratado no sólo en cuanto a la posición ocupada sino como destinatario real de fa comunicación, el tratamiento se encontrarla plenamente sometido a la Ley Orgánica 15/1999, no siendo de aplicación lo dispuesto en el artículo 2.2 del Reglamento." En este caso, de las actuaciones practicadas durante la instrucción del procedimiento, y con arreglo a la finalidad de marketing publicitario con la que se comercializa la totalidad de la información contenida en la base de datos empresarial, resulta que el tratamiento efectuado por la entidad imputada en relación con los datos personales de contacto asociados a las empresas no está directamente vinculado a las funciones profesionales desempeñadas por sus titulares o usuarios dentro de las organizaciones de las que forman parte (“business to business”). Por el contrario, constituye una forma de acceder directamente a la persona física titular o usuaria del dato personal de contacto en su condición de potencial consumidor individual y, por lo tanto, destinatario final de las campañas publicitarias que puedan realizar los compradores de la base de datos (“business to consumer”). De hecho, en la página web de MANCLIC se afirma que las bases de datos de empresas permiten encontrar nuevas oportunidades de negocio, localizar contactos para sus productos o servicios y conseguir más clientes, sin fijar ninguna limitación a este tratamiento comercial y publicitario. (folios 21, 79 y 249) Este criterio resulta coincidente con el mostrado por la Audiencia Nacional en su Sentencia de fecha 16 de diciembre de 2011, Rec. 175/2010, en la que respecto de la aplicabilidad del artículo 2 del RDLOPD se indica que: “Se trata en este apartado de la exclusión de la aplicación de la LOPD a los llamadas datos de contacto o agendas de personas jurídicas; esta exclusión no es general y sólo puede entenderse aplicable cuando se trate de datos relativos a datos de contacto en relación al funcionamiento de personas jurídicas y que estén relacionadas con dicho funcionamiento. En el caso presente se trata de la dirección de correo electrónico de una persona física que se utiliza en su puesto de trabajo pero que incluye su nombre y dos apellidos (no hace mención al cargo ni a su responsabilidad dentro de la empresa) y a la que se dirigen comunicaciones que no tienen nada que ver con sus responsabilidades en la persona jurídica de que se trata, sino que tienen que ver con una cuestión de carácter personal como es la relativa a la actividad sindical personal del destinatario del correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/34 No puede mantenerse, como hace la parte recurrente, que esa dirección de correo electrónico no se encuentre protegidas por la LOOPD; antes al contrario, debe entenderse protegida en relación a cualquier función o uso que no tenga relación directa con la actividad profesional del destinatario. ” En definitiva como la inclusión y utilización de dicha información con fines publicitarios por el responsable del fichero trasciende de las actividades desarrolladas por los titulares de los datos de contacto en función de su posición en las empresas, esta Agencia entiende que el tratamiento de los datos personales de contacto reseñados en el Hecho Probado nº 11 está sometido a la normativa de protección de datos por exceder del ámbito empresarial en el que se enmarcan los ficheros de contactos en las empresas a los que se refiere la exclusión del artículo 2.2 del RDLOPD. VII A la vista de lo expuesto, el tratamiento objeto de estudio realizado por MANCLIC se encuentra sometido a las garantías de la normativa de protección de datos al afectar al ámbito privado y personal de los sujetos titulares de los datos, requiriendo, en consecuencia, del consentimiento inequívoco de las personas físicas afectadas por el tratamiento de sus datos de carácter personal, conforme lo exigido en el apartado primero del artículo 6 de la LOPD. Dicho precepto recoge uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos como es el principio del consentimiento o autodeterminación, cuya garantía estriba en que el afectado preste su consentimiento consciente e informado para que la recogida de datos sea lícita. Se trata de una garantía fundamental legitimadora del régimen de protección establecido por la Ley, en desarrollo del artículo 18.4 de la Constitución Española, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad en general. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/34 del fichero excluirá del tratamiento los datos relativos al afectado”. Es decir, el tratamiento de datos de carácter personal requiere, con carácter general, el consentimiento previo e inequívoco del titular de los mismos, conforme a lo previsto en el artículo 6.1 de la LOPD , excepción hecha de la existencia de legitimación legal para ello como contempla dicho apartado o se produzca alguna de las circunstancias previstas en el apartado 2 del mismo artículo 6 de dicha norma, definiéndose en el apartado
23. h)del artículo 3 de la LOPD como “ Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Dado que la información contenida en la base de datos mantenida y comercializada por MANCLIC está destinada a la realización de campañas de marketing publicitario por sus clientes, tal y como figura en su página web, también resulta de aplicación al tratamiento de los datos de carácter personal registrados en el mencionado fichero objeto de análisis lo previsto en los artículos 30.1 de la LOPD y 45 del RDLOPD . El artículo 30.1 de la LOPD, relativo a los “ Tratamientos con fines de publicidad y de prospección comercial” establece que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento” Por su parte, el artículo 45 del RDLOPD, referido a “Datos susceptibles de tratamiento e información al interesado”, completa el precepto anterior disponiendo que: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/34 de los siguientes casos:
24. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
25. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
26. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “ Así, el tratamiento de datos con fines publicitarios requiere, de acuerdo con lo dispuesto en las normas citadas, el consentimiento inequívoco de los afectados o que sus datos procedan de fuentes de acceso público. En el supuesto examinado, ha quedado acreditado que MANCLIC, como responsable del fichero y del tratamiento publicitario realizado con la información incluida en el mismo, resulta responsable de la comisión de una infracción a lo previsto en el artículo 6.1 de la LOPD, ya que no ha acreditado contar con el consentimiento previo e inequívoco de las personas físicas identificadas o identificables cuyos datos personales ha incorporado, en su condición de consumidores individuales destinatarios de la publicidad, a la base de datos de empresas españolas que comercializa para la realización de campañas de marketing por terceros. Tampoco ha justificado que dichos datos personales procediesen de fuentes de acceso público, circunstancia que conforme lo previsto en el artículo 6.2 y 30.1 de la LOPD le hubiese permitido prescindir del consentimiento para tratar los datos de carácter personal. Esta conducta ha resultado probada al menos en los casos correspondientes a los 37 registros analizados, sin perjuicio de que resultaría también imputable al resto de casos no incluidos en la muestra estudiada con las mismas características. VIII Fijado lo anterior resulta preciso estudiar si a dicho tratamiento le resultaría de aplicación la excepción al consentimiento recogida en el artículo 6.2 de la LOPD, toda vez que en el apartado de “Información Legal” de la página web de MANCLIC se indica que las bases de datos ofertadas “han sido captadas de fuentes de acceso público, publicado en papel, vía internet, directorios de empresas, catálogos impresos, etc. O facilitados por las mismas empresas. Por lo cual estos datos no atentan contra el honor e intimidad personal quedando fuera del ámbito legislativo en materia de Protección de datos, de acuerdo con el artículo 2 del Reglamento de desarrollo de la Ley 15/1999, de 13 de diciembre.” En relación con dicha información legal, se reiteran las consideraciones en virtud de las cuales se entiende que el uso de los datos de contacto empresarial incorporados a la base de datos por MANCLIC excede de las meras relaciones empresariales de contacto entre personas jurídicas contempladas en el artículo 2.2 del RDLOPD. En relación con la posible procedencia de dichos datos de fuentes accesibles al público, el artículo 3
27. j)de la LOPD entiende como tales “ aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/34 la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. “. Esta definición debe completarse con lo previsto en el artículo 7 del Reglamento, por el que se desarrolla la LOPD, según el cual: “1. A efectos del artículo 3, párrafo
28. j)de la Ley Orgánica 15/1999, se entenderá que sólo tendrán el carácter de fuentes accesibles al público:
29. a)El censo promocional, regulado conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre.
30. b)Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica.
31. c)Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional.
32. d)Los diarios y boletines oficiales.
33. e)Los medios de comunicación social. 2. En todo caso, para que los supuestos enumerados en el apartado anterior puedan ser considerados fuentes accesibles al público, será preciso que su consulta pueda ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. “ En el presente caso, a pesar de que en el período de práctica de pruebas se requirió a MANCLIC para que acreditase que los datos incluidos en el Anexo adjuntado al acuerdo de inicio procedían de fuentes de acceso público o que contaba con el consentimiento inequívoco de los afectados para la inclusión de sus datos en la reseñada base de datos con fines de comercialización publicitaria, dicha entidad no ha justificado mediante ningún medio de prueba que la totalidad de los datos personales objeto de estudio procedieran de alguna de las fuentes que la normativa de protección de datos considera como accesibles al público. De hecho, en el acceso efectuado con fecha 29 de julio de 2015 al repertorio telefónico de GUIAS AMARILLAS asequible en formato electrónico a través de la página web http://www.paginasamarillas.es se constata que el dato personal del correo electrónico de F.F.F. no podía proceder de ese repertorio (fuente de acceso público) al no aparecer incluido junto al nombre, apellidos y teléfono de dicha persona (folio 163), sin que MANCLIC tampoco haya probado la condición de empresario individual de dicha persona. Ocurre la misma circunstancia con el dato del correo electrónico de C.C.C. que tampoco aparece reflejado en la página web http://www.paginasamarillas.es facilitada en la relación incorporada a las alegaciones a la propuesta de resolución. (folios 347 y 370) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/34 De la misma manera que en las búsquedas realizadas en la guía telefónica INFOBEL accesible en formato electrónico a través de la página web http://www.infobel.com se constata que en dicha guía (fuente de acceso público) no aparecen las direcciones de correo electrónico de los titulares de los teléfonos consignados en la misma. (folios 167 al 169, entre otros). Por otra parte, MANCLIC no señala la fecha de acceso a la información que pudiera proceder de fuentes de acceso público, cuestión relevante a los efectos del cómputo del plazo de vigencia durante el cual se considerará mantiene la naturaleza de fuente de acceso público, conforme a lo previsto en el artículo 28.3 de la LOPD que al regular los Datos incluidos en las fuentes de acceso público, establece: “3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique. En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención.” Se insiste en que la mera aportación de varias relaciones de direcciones de páginas web de Internet de las que supuestamente se obtuvieron los datos detallados en la muestra obtenida del CD no prueba, por sí misma, el contenido exacto de la información que puedan mostrar ni su coincidencia con los datos personales de los profesionales afectados por el tratamiento objeto de estudio, ya que para ello dichas relaciones tendrían que haber ido acompañadas de impresión de la información accesible a través de esas direcciones web. Sin perjuicio de lo cual, en las comprobaciones efectuadas en algunas de las páginas web facilitadas por MANCLIC como origen de los registros obtenidos en el muestreo, se ha detectado que los datos personales de los afectados , en caso de coincidir o figurar, debían proceder de varias de esas páginas web. Confirma lo anterior, que en la búsqueda efectuada con fecha 29 de julio de 2015 en la página http:// www.gallego.cybo.com, única facilitada durante el período de práctica de pruebas, sólo aparecía la cuenta de correo electrónico de H.H.H., sin constar el número de teléfono, dato que, según se desprende de lo indicado en las alegaciones a la propuesta de resolución, debió obtenerse de la página web http://www.citiservi.es. (folios 193 y 375) Igualmente, al acceder a la información obrante en las páginas web http://www.infobel.es (folio 187), http://www.conabogados.es (folio 362), http://abogada-......... (folio 366) sobre I.I.I. se constata que en ninguna de ellas aparece el dato del correo electrónico. En el portal de infobel.es y en la página http://abogada-......... aparece el número de teléfono ***TEL.2, que es distinto del número ***TEL.3 obtenido en el muestreo del fichero (folio 18), el cual si aparece en la segunda de las páginas web citadas. La página web http://www.icaba.es, también facilitada, permite acceder al listado de abogados del Ilustre Colegio de Abogados de Badajoz, si bien la información que aparece en dicha fuente de acceso público sobre esa colegiada (folio 365) no incluye tampoco el dato de su dirección de correo electrónico y muestra el número de teléfono ***TEL.2, que ya se ha indicado no coincide con el que figura en la base de datos. Es decir, el origen de los datos personales asociados a la misma no puede ser el mencionado listado. Por otro lado, de haberse adjuntado impresión por esa empresa C/ Jorge Juan, 6 28001 – Madrid de la www.agpd.es sedeagpd.gob.es 22/34 información supuestamente obtenida a través de la página web de Internet http://www.donde-estamos.com se hubiera podido evitar el error de considerar que no facilitaba el número de teléfono y el correo electrónico completos de los profesionales, ello al margen de la coincidencia o no de los datos. (folio 336) Puntualizado lo anterior, y visto que la información de los registros analizados que pudiera proceder de repertorios telefónicos (Infobel y Páginasamarillas) no contenía la totalidad de los datos de los afectados supuestamente procedentes de dicha fuente de accesibles al público, ni acreditado por MANCLIC que en otros registros los exactos datos estudiados pudiesen tener su origen en los listados de los Colegios Profesionales, se recalca que conforme a la relación cerrada que aparece en los artículos 3.
34. j)de la LOPD y 7 del RDLOPD las páginas web de Internet, como tales, no tienen la consideración de fuentes accesibles al público, lo que no debe confundirse con la forma de acceso al contenido de las fuentes de acceso público editadas en formato electrónico a través de Internet. En consecuencia, el tratamiento de los datos personales procedentes de páginas web de Internet no está eximido del deber de contar con el consentimiento inequívoco de los afectados al que se refiere el artículo 6.1 de la LOPD, que además, si el tratamiento es publicitario estará condicionado a la previa información a los afectados de los sectores específicos y concretos de actividad respecto de los que podrían recibir información y publicidad. Con arreglo a lo expuesto, debe rechazarse que los sitios web que aparecen en las relaciones aportadas por MANCLIC (buscadores de empresas y profesionales, sitios web de prospección comercial, etc), y de los que supuestamente se ha obtenido la información de carácter personal de los afectados que aparece detallada en los Hechos Probados 9 al 11, puedan ser considerados fuentes accesibles al público, motivo por el cual su incorporación a la base de datos comercializada por MANCLIC con fines publicitarios sin el consentimiento de sus titulares vulnera el principio del consentimiento. Se recuerda que MANCLIC en su calidad de responsable del fichero en cuestión debe estar en condiciones de acreditar que cuenta con el consentimiento inequívoco de los afectados o que concurre alguna de las excepciones fijadas en el artículo 6.2 de la LOPD a dicho requisito. En este sentido se recuerda lo establecido en los apartados 1 y 3 del artículo 12 del RDLOPD respecto del principio general del consentimiento para el tratamiento de los datos, en los que se señala que: “ 1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. (…) 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ Por ello, una vez acreditado por la Agencia el tratamiento de los datos personales objeto de procedimiento corresponde a MANCLIC demostrar que contaba con cobertura legal para realizar el repetido tratamiento, esto es que disponía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/34 del consentimiento inequívoco de los titulares y usuarios de dichos datos para su inclusión en dicha base de datos con fines de comercialización publicitaria o que no lo precisaba con arreglo a alguno de los supuestos de excepción del artículo 6.2 de la LOPD. En este sentido, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” Con arreglo a lo previsto en los artículos 6.1 y 30.1 de la LOPD la mercantil MANCLIC ha tratado los datos personales de los afectados en una base de datos empresarial que comercializa con fines de publicidad y de prospección comercial sin contar con el consentimiento inequívoco de los mismos para ello, no habiéndose acreditado por dicha entidad que el tratamiento se haya llevado a cabo con datos de carácter personal procedentes de fuentes accesibles al público cuyos titulares, además, no hayan ejercido el derecho de oposición a este tipo de tratamiento ni consta, tampoco, que hayan sido facilitados por los propios interesados con el fin publicitario al que responde su inclusión en el fichero de tanta cita. Por todo lo cual, MANCLIC no está legitimada para incluirlos sin limitación alguna en una base de datos empresarial cuyo destino es el uso publicitario de la información contenida en la misma sin cumplir con el principio general del consentimiento de la LOPD. IX El artículo 44.3.
35. b)de la LOPD califica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” En el presente caso, MANCLIC, al tratar los datos personales de los afectados sin su consentimiento con fines publicitarios, resulta responsable de la comisión de la infracción tipificada en dicho artículo, toda vez que, conforme se ha razonado en los anteriores Fundamentos de Derecho, no ha justificado haber tratado los diferentes datos de carácter personal de los profesionales y de los titulares de los datos de contacto empresarial afectados por el tratamiento estudiado mediando el consentimiento inequívoco de los mismos para su incorporación en una base de datos empresarial cuya información se comercializa con fines publicitarios, de tal modo que la información personal estudiada incumbe ámbito personal y particular de todos ellos al afectar a su condición de personas físicas consumidoras. X El artículo 45 de la LOPD, en sus aparatados 1 a 5, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/34 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
36. a)El carácter continuado de la infracción.
37. b)El volumen de los tratamientos efectuados.
38. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
39. d)El volumen de negocio o actividad del infractor.
40. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
41. f)El grado de intencionalidad.
42. g)La reincidencia por comisión de infracciones de la misma naturaleza.
43. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
44. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
45. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
46. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
47. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
48. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
49. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
50. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado artículo 45.5 de la LOPD, que deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello, considerando las previstas expresamente en dicho apartado y la concurrencia significativa de varias de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/34 circunstancias recogidas en el apartado 4 anterior, así como cualquier otra “que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. Es decir, su aplicación deberá efectuarse ponderando de forma individualizada las circunstancias del caso analizado, sin que en el presente supuesto se considere que concurran los presupuestos a los que el mencionado precepto anuda esta minoración cualificada de la cuantía de la multa. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Así, no se aprecia la disminución de la culpabilidad de la imputada a la vista de la falta de diligencia mostrada en su conducta, en especial si se valora que MANCLIC es una entidad habituada al tratamiento de datos de carácter personal en razón de su actividad, por lo que le resulta exigible un especial cuidado a los efectos de cumplir con las exigencias impuestas por la LOPD, lo que conlleva adoptar mecanismos y medidas de prevención y control tendentes a asegurarse del origen de la información personal tratada y de la legitimidad del tratamiento efectuado con la misma. Esta falta de diligencia, imputable a esa entidad, es lo que determina el elemento culpabilístico de la infracción administrativa analizada. En este orden de ideas, tampoco consta que la entidad haya adoptado ninguna cautela en orden a introducir en la publicidad incluida en la página web de su titularidad, a título informativo y preventivo, advertencias sobre la procedencia de restringir al ámbito estrictamente empresarial de las campañas publicitarias dirigidas a las personas de contacto de las empresas como forma de relacionarse con éstas. Igualmente, no se recuerda a los potenciales clientes que las campañas publicitarias realizadas con los datos de las personas físicas incluidos en el fichero deben cumplir, en función del medio utilizado para la realización de las campañas publicitarias (medios de comunicación electrónica, teléfono, Fax o vía postal), las exigencias que la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, la Ley 9/2014, de 9 de agosto, General de Telecomunicaciones y la LOPD fijan para este tipo de actuaciones publicitarias. Por ello procede imponer una multa cuyo importe se encuentre entre 40.001 y 300.000 euros, conforme el rango de sanciones previstas en el apartado 2 del citado artículo 45 para las infracciones graves a la LOPD. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOP, se entiende que operan como agravantes de la conducta que ahora se analiza los siguientes criterios:
51. a)El carácter continuado de la infracción, ya que MANCLIC viene tratando los datos de carácter personal de los afectados con los fines señalados en su página web como mínimo desde que esta Agencia pudo comprobar el contenido de la base de datos en febrero de 2015 cuando se aportó una copia de la misma en formato CD a las actuaciones previas de inspección ;
52. b)El volumen de los tratamientos efectuados sin el consentimiento de los afectados que alcanzaría, como mínimo a los titulares de los datos de carácter personal contenidos en los 37 registros relacionados en los Hechos Probados, si bien afecta también a todos los registros que tengan con las mismas características que los estudiados ;
53. c)la vinculación de la imputada con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/34 actividades que comportan el tratamiento de datos personales de contacto profesional;
54. f)la falta de intencionalidad en su conducta, entendiendo la misma como como grado de culpabilidad, y no en su sentido literal que equivaldría a dolo, puesto que ya se ha justificado la grave falta de diligencia mostrada al no observar las cautelas requeridas para tratar los reseñados datos personales con una finalidad que requería el consentimiento de los afectados. Por otra parte, en cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD se tiene en cuenta, que operan como atenuantes los supuestos e),
55. h)y
56. g)del mismo, ante la falta de constancia de la existencia de beneficios a raíz de la comisión de la infracción imputada, la inexistencia de perjuicios probados a los afectados distintos del derivado de la utilización no consentida de sus datos personales profesionales o de contacto empresarial con fines ajenos al marco de sus actividades profesionales, es decir, a los que resultan de la propia infracción imputada, y, por último, la falta de reincidencia por la comisión de infracciones de la misma naturaleza. En cuanto a la falta de consideración del volumen de negocio del infractor como posible atenuante hay que señalar que en el procedimiento no figuran elementos fácticos a partir de los cuales evaluar esta circunstancia invocada por MANCLIC, al margen de que la comercialización de la base de datos con fines publicitarios es el objeto del negocio de la actividad desarrollada por esa empresa. En definitiva, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, se considera proporcionado a la gravedad de los hechos imputados imponer a MANCLIC una sanción por importe de 50.000 € como responsable de la infracción al principio del consentimiento. XI A los efectos de dilucidar si MANCLIC resulta responsable de la comisión de una infracción a lo previsto en el artículo 21 de la LSSI, segunda de las infracciones que se le imputa a dicha empresa, conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/34 por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. De este modo, la LSSI, en su artículo 21.1 prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación del consentimiento expreso o solicitud previa, salvo que exista una relación contractual anterior y el sujeto no haya manifestado su voluntad en contra. Así, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
57. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/34 Asimismo resulta aplicable lo previsto en el artículo 45.1.
58. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. XII Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
59. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. Por otro lado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
60. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
61. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros representen una actividad económica, los siguientes: (…) y siempre que 4º El envío de comunicaciones comerciales. ” (…)”. Según el apartado
62. d)del citado Anexo, “Destinatario del servicio” o ”destinatario” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/34 es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
63. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. XIII En el presente caso de las actuaciones practicadas y de la documentación obrante en el procedimiento, en especial, de las cabeceras de Internet del correo electrónico comercial objeto de denuncia y del cuerpo del mismo aportados por el denunciante, así como de las alegaciones efectuadas por MANCLIC respecto del origen de las señas utilizadas para la realización del envío en cuestión, se evidencia que con fecha 16 de octubre de 2014 se remitió desde la dirección de correo electrónico ....@informadirect.com una comunicación comercial a la cuenta de correo electrónico ....@sermesa.es del denunciante que incumplía las exigencias recogidas en el artículo 21.1 de la LSSI. Téngase en cuenta que la propia entidad remitente ha reconocido en su escrito de alegaciones al acuerdo de inicio que la dirección de correo electrónico utilizada se obtuvo de una página web de Internet, manifestación que por sí misma prueba dicho incumplimiento por las razones que a continuación se indicarán y, con arreglo a la cual, tampoco resulta de aplicación la excepción al consentimiento contenida en el primer párrafo del artículo 21.2 de dicha norma por evidenciar que no existe una relación contractual previa entre la entidad remitente y el destinatario del envío en cuestión. El hecho de que MANCLIC obtuviera la cuenta de correo electrónico del denunciante de una página web prueba que la comunicación comercial objeto de análisis no había sido solicitada previamente por su destinatario y pone de manifiesto, también, la inexistencia de autorización expresa del mismo para poder usar con fines publicitarios las señas electrónicas que pudieran aparecer en la página web http://www.donde-estamos.com asociadas a la empresa SERVICIOS MEDICINA PREVENTIVA, S.A. (SERMESA), responsable del dominio sermesa.es en el que se integra la cuenta de correo en la que se recibió la comunicación comercial denunciada Conviene añadir, además, que en dicha página web se promociona el registro de las empresas en dicho directorio como un medio de aumentar sus ventas y potenciar su imagen de marca, circunstancia que, evidentemente, no conlleva ningún tipo de consentimiento al uso de los datos de contacto para recibir publicidad de terceros. Dicho lo cual, la remisión de la comunicación comercial denunciada constituye una acción que ha respondido únicamente a la voluntad de MANCLIC de dar un uso publicitario a dicha información sin mediar para ello el consentimiento previo y expreso del denunciante. En relación con esta cuestión, es importante señalar que esta Agencia se ha pronunciado en innumerables ocasiones en que cuando se trata de comunicaciones comerciales a las que le resulta de aplicación lo previsto en el artículos 21.1 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/34 LSSI no opera la dispensa de la obtención del consentimiento recogida en el artículo 6.2 de la LOPD respecto de los datos personales que procedan de fuentes accesibles al público. De esta forma, en supuestos como el analizado, la posesión o conocimiento de una dirección de correo electrónico de un tercero no implica, incluso cuando aparezca difundida en páginas web de Internet o figure incluida en bases de datos empresariales o tenga su origen en fuentes accesibles al público, considerando como tales exclusivamente las contempladas en los artículos 3.
64. j)de la LOPD y 7 del RDLOPD ya transcritos, una autorización del titular de la dirección de correo electrónico en cuestión para recibir publicidad a través de medios de comunicación electrónica o similares, pues precisamente ese derecho a no recibir comunicaciones comerciales por esa vía que no hayan sido previamente solicitadas o expresamente autorizadas es el que protege el artículo 21 LSSI. Conforme a lo antedicho, debe rechazarse que las páginas web de Internet tengan la consideración de fuentes accesibles al público al no estar contempladas como tales en la relación tasada que aparece en los artículos de la LOPD anteriormente reseñados, motivo por el cual, con independencia de lo previsto en el artículo 19.2 de la LSSI, no resulta de aplicación para el envío de comunicaciones comerciales electrónicas comprendidas en el artículo 21 de la LSSI la excepción al consentimiento incluida en el artículo 6.2 de la LOPD. En este sentido conviene traer a colación la SAN 371/2012 de 23/07/2013, que al referirse a datos obtenidos de una página web, resulta plenamente aplicable al caso ahora analizado: “Agregaba por otra parte la resolución recurrida que la constancia de las direcciones electrónicas de las empresas en la red Internet no habilita para utilizarlas para el envío de comunicaciones comerciales, salvo que se den los supuestos del artículo 21 de la Ley de Servicios de la Sociedad de la Información. Es decir, que una entidad puede tener su dirección de correo electrónico en una web a los efectos de “contacto” y fundamentalmente para ofrecer sus productos y actuar en el tráfico jurídico, pero que «ello no implica una autorización ad limitum para ser receptora de publicidad, pues precisamente ese derecho a no recibir comunicaciones comerciales por medios electrónicos es el que protege el artículo 21 de la Ley de Servicios de la Sociedad de la Información». Pues bien, procede desestimar el recurso por esta primera razón impugnatoria, dado que, en efecto, la legitimidad de la posesión de los datos por parte de una concreta empresa no obsta a la posterior necesidad del recabado de un consentimiento específico para la remisión de comunicaciones comerciales. Así se obtiene del art. 21.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas». La desestimación del recurso por el fundamento que se acaba de analizar debe llevarnos también a la misma consecuencia con respecto a la afirmación de la obtención de aquella información (los datos de la empresa) de una fuente accesible al público (la página web de la denunciante). Y es que, con independencia de que se trate o no en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/34 efecto de una fuente accesible al público en los términos del art. 6.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, lo cierto es que aquella obtención pudiera legitimar, sin expreso consentimiento, el tratamiento de los datos de que se trate, pero no hacerlo con la remisión de comunicaciones comerciales. Esto entraña una actividad singular y diferente, que es requerida de consentimiento autónomo por el art. 21.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico .” (El subrayado es de la Agencia Española de Protección de Datos) Consecuentemente, resulta irrelevante que la dirección de correo electrónico del denunciante estuviera accesible en páginas web de Internet, toda vez que el tratamiento con fines publicitarios de las señas electrónicas de los destinatarios de este tipo de envíos requiere solicitud previa del destinatario o autorización expresa de los mismos. En definitiva , a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que la denunciada incumplió la prohibición recogida en el artículo 21.1 de la LSSI al enviar un correo electrónico de tipo comercial al denunciante sin contar con la autorización expresa o solicitud previa del mismo para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma al no existir una relación contractual previa entre remitente y destinatario del envío en cuestión. XIV El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 de la LSSI especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación” (el subrayado es de la Agencia Española de Protección de Datos), considerándose como tal, según definición contenida en el apartado
65. c)del Anexo de la citada norma a la “ persona física o jurídica que proporciona un servicio de la sociedad de la información”. De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
66. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
67. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la conclusión que se despende de los hechos que han resultado acreditados en la tramitación del procedimiento sancionador a la vista de los preceptos citados, es que la infracción del artículo 21.1 de la LSSI cometida por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/34 MANCLIC debe calificarse como infracción leve a lo previsto en el artículo 38.4.
68. d)de la vigente LSSI, puesto que la remisión del correo electrónico comercial no consentido objeto de estudio no puede calificarse como envío insistente o sistemático de comunicaciones comerciales no solicitadas por medios electrónicos por parte de dicha entidad a su destinatario. XV Según establece el art. 39.1.c), de la LSSI las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, fijando los criterios para su graduación en el artículo 40 de la misma norma, que dispone lo siguiente: “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
69. a)La existencia de intencionalidad.
70. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
71. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
72. d)La naturaleza y cuantía de los perjuicios causados.
73. e)Los beneficios obtenidos por la infracción.
74. f)Volumen de facturación a que afecte la infracción cometida.
75. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En relación a los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se estima que, si bien no ha existido intencionalidad en la conducta de MANCLIC, sin embargo opera como agravante de su culpa la falta de diligencia mostrada al no haber adecuado su conducta a las exigencias recogidas en el artículo 21 de la LSSI respecto del envío de publicidad por medios de comunicación electrónica, máxime cuando entre las actividades desarrolladas presta el servicio de envío masivo de campañas de marketing por email desde su plataforma profesional de envíos, conforme se desprende del servicio de “Email Marketing” ofrecido en su página web (folios 253 y 254), lo que obliga a dicha empresa ser especialmente conocedora de la normativa específica que resulta de aplicación y, consecuentemente, a actuar con el rigor y cautelas que le resultan exigibles en tanto que empresa habituada al uso de dichos medios en sus propias campañas publicitarias y en las que actúa como plataforma tecnológica para terceros. Paralelamente, se valoran como circunstancias atenuantes en la comisión de la infracción, los criterios de graduación de las sanciones recogidos en los apartados a),
76. d)y
77. e)del citado artículo 40, teniendo en cuenta la falta de constancia de que el denunciante haya sufrido perjuicios a causa de la recepción del correo comercial de fecha 16 de octubre de 2014 o que MANCLIC haya obtenido beneficios con motivo de la comisión de la infracción imputada a la LSSI. Por todo lo cual, se estima adecuado a la gravedad de los hechos imputados imponer una sanción de 1.000 € a dicha entidad como responsable de la comisión de la infracción del artículo 21.1 de la LSSI. . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/34 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MANCLIC MARKETING, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
78. b)de dicha norma, una multa de 50.000 € (Cincuenta mil euros), de conformidad con lo establecido en los artículos 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: : IMPONER a la entidad MANCLIC MARKETING, S.L., por una infracción del artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
79. d)de dicha norma, una multa de 1.000 € (Mil euros), de conformidad con lo establecido en los artículos 39.1.
80. c)y 40 de la citada LSSI.. TERCERO: NOTIFICAR la presente resolución a MANCLIC MARKETING, S.L. y a Don A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en Caixabank, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/34 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es